Hologres:保存時のデータ暗号化

仕組み

Hologres は、KMS が管理するキーでデータを暗号化および復号します。暗号化の仕組みは次のとおりです。

• Hologres は、KMS を介してデータベースごとに保存データを暗号化および復号します。データはストレージレイヤーで暗号文に暗号化され、対応するキーのみがデータを復号できます。

• KMS はキーを生成および管理し、キーを安全に保ちます。

• Hologres は、AES256、AESCTR、および RC4 の暗号化アルゴリズムをサポートしています。

• Hologres は、Bring Your Own Key (BYOK) のみでデータを暗号化および復号します。サポートされているキーマテリアルには、カスタマーマスターキー (CMK) の作成時に KMS が生成するキーマテリアルと、インポートするキーマテリアルの 2 種類があります。

  KMS で BYOK キーを作成し、Hologres でそれを選択してデータベースを暗号化します。KMS で BYOK キーを作成する方法の詳細については、「キーの作成」をご参照ください。

• データの読み書き中に、Hologres は KMS API を呼び出してキー情報を取得し、デフォルトで 24 時間その情報をキャッシュします。

注意事項

• 暗号化の範囲：保存時の暗号化は、この機能を有効にした後に作成したテーブルにのみ適用されます。この機能を有効にする前に作成されたテーブルは暗号化されません。

• サポートされるテーブルタイプ：列指向テーブルと、行列ハイブリッドテーブルの列指向部分のみが暗号化されます。他のテーブルタイプは暗号化されません。保存時の暗号化を有効にした後でも、MaxCompute に Hologres 外部テーブルを作成してデータの読み書きができます。

• テーブルレベルのキー：Hologres V2.0 以降では、テーブルごとに個別の暗号化設定がサポートされているため、異なるテーブルを異なる KMS キーで暗号化できます。詳細については、「テーブルレベルの暗号化設定」をご参照ください。

• パフォーマンス：暗号化と復号により、処理のオーバーヘッドが増加します。保存時の暗号化により、クエリの特性に応じて、クエリと書き込みのパフォーマンスが約 20% から 40% 低下します。

• キー操作：BYOK の無効化や削除などの KMS キー操作は、Hologres の暗号化と復号に影響します。Hologres はキー情報をキャッシュするため、これらの操作は 24 時間以内に有効になります。

• キーの可用性：暗号化されたテーブルで使用されている KMS キーが無効または不正な場合、テーブルは読み取り不可および書き込み不可になります。

• キーの置き換え：Hologres は、すでに暗号化されているデータベースの KMS キーの切り替えをサポートしていません。別のキーでデータを暗号化するには、新しいデータベースを作成し、そこにデータを移行します。詳細については、「KMS キーのローテーションとデータ移行」をご参照ください。

• 暗号化の無効化：データベースの保存時の暗号化を無効にしても、すでに暗号化されているデータは復号されません。詳細については、「データベースの保存時の暗号化の無効化」をご参照ください。

課金

保存時の暗号化では、Hologres が KMS API を呼び出してキー情報を取得するため、KMS の料金が発生します。料金情報の詳細については、「KMS の課金」をご参照ください。

前提条件

• Hologres インスタンスが V1.1 以降を実行していること。保存時の暗号化は Hologres V1.1 以降でのみサポートされています。インスタンスが以前のバージョンを実行している場合は、インスタンスをアップグレードしてください。アップグレード準備エラーについては、「アップグレード準備エラーのトラブルシューティング」をご参照いただくか、Hologres DingTalk グループに参加してサポートを受けてください。詳細については、「オンラインサポートの追加入手方法」をご参照ください。

• V1.3.31 より前のインスタンスでは、保存時の暗号化のためにバックエンド設定が必要です。V1.3.31 以降のインスタンスでは不要です。(推奨) インスタンスをアップグレードしてください。

• お使いのリージョンで KMS が有効化されていること。

• RAM ロールが作成されていること。このロールの名前を暗号化設定で指定します。

データベースの保存時の暗号化の有効化

1. Hologres に必要な KMS 権限を付与するカスタムポリシーを作成します。

   1. RAM コンソールにログインします。左側のナビゲーションペインで、[Permissions] > [Policies] を選択します。[Policies] ページで、[Create Policy] をクリックします。

      

   2. [Create Policy] ページで、[JSON] タブをクリックします。ポリシーエディターに次のポリシードキュメントを入力し、[Name] を AliyunHologresEncryptionDefaultRolePolicy に設定します。

      

      このポリシーは、暗号化された MaxCompute データをクエリする際に、データキーを取得して復号するために Hologres に必要な KMS 権限を付与します。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "kms:Encrypt",
                      "kms:Decrypt",
                      "kms:GenerateDataKey",
                      "kms:DescribeKey"
                  ],
                  "Resource": "acs:kms:*:*:*/*",
                  "Effect": "Allow"
              }
          ]
      }

   3. [OK] をクリックします。カスタムポリシーが作成されます。

2. Hologres 用の RAM ロールを作成し、ポリシーをアタッチします。

   Hologres がユーザーに代わって KMS API を呼び出すには、RAM ロールが必要です。ロールを作成し、ステップ 1 で作成したポリシーをアタッチします。

   1. RAM コンソールにログインします。左側のナビゲーションペインで、[Identities] > [Roles] を選択します。

   2. [Roles] ページで、[Create Role] をクリックします。[Select Trusted Entity] で [Alibaba Cloud Service] を選択し、[Select Trusted Service] で [Hologres] を選択します。

   3. [OK] をクリックします。[Role Name] フィールドに AliyunHologresEncryptionDefaultRole を入力し、[OK] をクリックします。

      

   4. ロール詳細ページで、[Permissions] タブをクリックし、[Grant Permission] をクリックします。

   5. [Grant Permission] パネルで、[Grant Scope] を [Alibaba Cloud Account] に設定します。[Policy] には、[Custom Policy] をクリックし、AliyunHologresEncryptionDefaultRolePolicy を選択します。

      

   6. [OK] をクリックします。ロール詳細ページで、[Trust Policy] タブをクリックして信頼ポリシーを確認します。

3. キーを作成します。

   詳細については、「キーの作成」をご参照ください。

   Hologres は、Aliyun_AES_256 タイプの対称キーのみをサポートしています。

4. 暗号化設定を構成します。

   1. 保存時の暗号化を有効にするデータベースインスタンスに接続します。手順については、「データベースインスタンスへの接続」をご参照ください。

   2. [アドホッククエリ] ページで、[Instance Name] と [Database] を設定し、SQL クエリエディターに次のステートメントを入力して、[Run] をクリックします。

ALTER DATABASE <db_name> SET hg_experimental_encryption_options='<encryption_type>,<cmk_id>,<ram_role>,<uid>';

データベースの保存時の暗号化の無効化

次のステートメントを実行してデータベースの保存時の暗号化を無効にすると、無効にする前に作成されたテーブルのデータは暗号化されたままになります。無効にした後に作成されたテーブルのみが暗号化されません。

ALTER DATABASE <database_name> set hg_experimental_encryption_options='';

テーブルレベルの暗号化設定

Hologres V2.0 以降では、データベースで保存時の暗号化が有効になった後、個々のテーブルに対して異なる暗号化ポリシーを設定できます。テーブルは暗号化しないままにするか、データベースのデフォルト以外の KMS キーを使用できます。

同じデータベース内のテーブルで異なる KMS キーを使用する必要がある場合、または特定のテーブルを暗号化しないままにする必要がある場合に、テーブルレベルの暗号化設定を構成します。

CALL SET_TABLE_PROPERTY('<table_name>', 'encryption_options', '<encryption_type>,<cmk_id>,<ram_role>,<uid>');

BEGIN;
CREATE TABLE LINEITEM
(
    L_ORDERKEY      BIGINT      NOT NULL,
    L_PARTKEY       INT         NOT NULL,
    L_SUPPKEY       INT         NOT NULL,
    L_LINENUMBER    INT         NOT NULL,
    L_QUANTITY      DECIMAL(15,2) NOT NULL,
    L_EXTENDEDPRICE DECIMAL(15,2) NOT NULL,
    L_DISCOUNT      DECIMAL(15,2) NOT NULL,
    L_TAX           DECIMAL(15,2) NOT NULL,
    L_RETURNFLAG    TEXT        NOT NULL,
    L_LINESTATUS    TEXT        NOT NULL,
    L_SHIPDATE      TIMESTAMPTZ NOT NULL,
    L_COMMITDATE    TIMESTAMPTZ NOT NULL,
    L_RECEIPTDATE   TIMESTAMPTZ NOT NULL,
    L_SHIPINSTRUCT  TEXT        NOT NULL,
    L_SHIPMODE      TEXT        NOT NULL,
    L_COMMENT       TEXT        NOT NULL,
    PRIMARY KEY (L_ORDERKEY,L_LINENUMBER)
);
CALL SET_TABLE_PROPERTY('LINEITEM', 'encryption_options', 'AES256,623c26ee-xxxx-xxxx-xxxx-91d323cc4855,AliyunHologresEncryptionDefaultRole,153xxxxxxxxxxxxx');
COMMIT;

SELECT
    *
FROM
    hologres.hg_table_properties
WHERE
    property_key = 'encryption_options';

KMS キーのローテーションとデータ移行

Hologres は、すでに暗号化されているデータベースの KMS キーの切り替えをサポートしていません。キーで暗号化されたデータは、そのキーでのみ復号でき、データベースはデータベースレベルで 1 つの有効な暗号化設定しか持つことができません。暗号化されたデータベースで ALTER DATABASE を実行して新しいキーを指定した場合、ステートメントはエラーなしで正常に返されることがありますが、キーは切り替えられず、既存のデータは引き続き元のキーで復号されます。

現在のキーが無効化されようとしている場合など、KMS キーを置き換えるには、新しい暗号化設定でデータベースを作成し、そこにデータを移行します。この手順は、データベースレベルの暗号化設定に適用されます。

次の順序でデータを移行します。

1. 新しいデータベースを作成します。

2. 新しいデータベースに新しい KMS 暗号化設定を構成します。「データベースの保存時の暗号化の有効化」と同じ構文を使用します。

   ALTER DATABASE <db_name> SET hg_experimental_encryption_options='<encryption_type>,<cmk_id>,<ram_role>,<uid>';

3. Flink や DataWorks タスクなどのデータ同期タスクを使用して、古いデータベースから新しいデータベースにデータを移行します。